Penyusunan Policy Sistem Keamanan

Policy Keamanan Situs

Suatu organisasi dapat mempunyai lebih dari satu situs, dimana tiap situs mempunyai jaringan sendiri. Bila organisasi besar, maka sangat dimungkinkan situs-situs tersebut mempunyai administrrasi jaringan yang dibedakan menurut tujuan tertentu. Bila situs-situs ini tidak terhubung melalui internet, tiap situs mungkin memiliki policy keamanan sendiri. Bagaimanapun bila situs-situs tersebut terhubung melalui internet, maka policy keamanan harus mencakup tujuan dari semua situs yang saling terhubung.

Pada umumnya semua situs adalah bagian dari organisasi yang mempunyai beberapa komputer dan sumber daya yang terhubung ke dalam suatu jaringan. Sumber daya tersebut misalnya :

·         Workstation

·         Komputer sebagai host maupun server

·         Device untuk interkoneksi : gateway, router, bridge, repeater

·         Terminal server

·         Perangkat lunak aplikasi dan jaringan

·         Kabel jaringan

·         Informasi di dalam file dan basis data

Policy keamanan situs harus memperhatikan pula keamanan terhadap sumber daya tersebut. Karena situs terhubung ke jaringan lain, maka policy keamanan harus memperhatikan kebutuhan keamanan dari semua jaringan yang saling terhubung. Hal ini penting untuk diperhatikan karena kemungkinan policy keamanan situs dapat melindungi situs tersebut, namun berbahaya bagi sumber daya jaringan lain. Suatu contoh dari hal ini adalah penggunaan alamat IP di belakang firewall, dimana alamat IP tersebut sudah digunakan oleh orang lain. Pada kasus ini penyusupan dapat dilakukan terhadap jaringan di belakang firewall dengan melakukan IP spoofing.

Policy Keamanan Jaringan

Policy keamanan menyediakan kerangka-kerangka untuk membuat keputusan yang spesifik, misalnya mekanisme apa yang akan digunakan untuk melindungi jaringan dan bagaimana mengkonfigurasi servis-servis. Policy keamanan juga merupakan dasar untuk mengembangkan petunjuk pemrograman yang aman untuk diikuti user maupun bagi administrator sistem.

Sebuah policy keamanan mencakup hal-hal berikut ini :

• Deskripsi secara detail tentang lingkungan teknis dari situs, hukum yang berlaku, otoritas dari policy tersebut, dan filosofi dasar untuk digunakan pada saat menginterpretasikan policy tersebut.
• Analisa resiko yang mengidentifikasi aset-aset situs, ancaman yang dihadapi oleh aset-aset tersebut, dan biaya yang harus dikeluarkan untuk kerusakan / kehilangan aset-aset tersebut.
• Petunjuk bagi administrator sistem untuk mengelola sistem.
• Definisi bagi user tentang hal-hal yang boleh dilakukan.
• Petunjuk untuk kompromi terhadap media dan penerapan hukum yang ada, serta memutuskan apakah akan melacak penyusup atau akan mematikan sistem dan kemudian memulihkannya.

Faktor yang berpengaruh terhadap keberhasilan policy keamanan antara lain adalah :

·         Komitmen dari pengelola jaringan.

·         Dukungan teknologi untuk menerapkan policy keamanan tersebut.

·         Keefektifan penyebaran policy tersebut.

·         Kesadaran semua user jaringan terhadap keamanan jaringan.

Pihak pengelola jaringan komputer mengatur tanggung jawab terhadap keamanan jaringan, menyediakan training untuk personel yang bertugas di bidang keamanan jaringan dan mengalokasikan dana untuk keamanan jaringan. Yang termasuk pilihan-pilihan teknis yang dapat digunakan untuk mendukung keamanan jaringan komputer antara lain:

·         Autentikasi terhadap sistem.

·         Audit sistem untuk akuntabilitas dan rekonstruksi.

·         Enkripsi terhadap sistem untuk penyimpanan dan pengiriman data penting.

·         Tool-tool jaringan, misalnya firewall dan proxy.

Hal-hal praktis untuk mendukung keamanan jaringan

Dibawah ini adalah hal-hal praktis yang perlu dilakukan untuk mendukung keamanan jaringan komputer, antara lain:

• Memastikan semua akun mempunyai password yang sulit ditebak. Akan lebih baik bila menggunakan OTP (One Time Password).
• Menggunakan tool, misalnya MD5 checksums, sebuah teknik kriptografi untuk memastikan integritas perangkat lunak.
• Menggunakan teknik pemrograman yang aman pada saat membuat perangkat lunak.
• Selalu bersikap waspada terhadap penggunaan dan konfigurasi komputer.
• Memeriksa secara rutin apakah vendor memiliki perbaikan-perbaikan terhadap lubang keamanan yang terbaru, dan selalu menjaga sistem selalu mengalami upgrading terhadap keamanan.
• Memeriksa secara rutin dokumen-dokumen dan artikel on-line tentang bahaya keamanan dan teknik mengatasinya. Dokumen dan artikel seperti ini dapat ditemukan pada situs-situs milik incident response teams, misalnya CERT (Computer Emergency Response Team – http://www.cert.org).
• Mengaudit sistem dan jaringan, dan secara rutin memeriksa daftar log. Beberapa situs yang mengalami insiden keamanan melaporkan bahwa audit yang dikumpulkan minim sehingga sulit untuk mendeteksi dan melacak penyusupan.

(Sumber: Onno W Purbo & Tony Wiharjito,”Keamanan Jaringan Intenet”, Elex Media Komputindo, Jakarta, 2000)